checklist

체크리스트 — 권한

• settings.json에 defaultMode가 명시되어 있다.
• allowedTools에 와일드카드 Bash(*)가 없다.
• 위험 패턴(rm -rf /, rm -rf ~, --force, curl|sh)을 차단하는 PreToolUse hook이 있다.
• 시크릿은 settings.local.json 또는 환경변수에만 있다.
• 헤드리스용 별도 settings 프로파일이 있다.
• 민감 디렉토리(infra/, secrets/, .github/)는 자동 쓰기 차단.
• 컨테이너/별도 사용자 격리를 적어도 한 환경(개인 노트북 외)에서 적용했다.
• 새 팀원이 첫날 settings를 어떻게 받을지 README에 적혀 있다.